Zwischen ihrer umstrittenen Klage „ “ gegen SolarWinds, die letzte Woche auf heftigen juristischen Widerstand stieß, und neuen Vorschriften, die mehr Transparenz im Bereich der Cybersicherheit vorschreiben, sorgt die Securities and Exchange Commission in der gesamten CISO-Gemeinschaft für Unruhe.
Einige CISOs (Chief Information Security Officers) bei börsennotierten Unternehmen sind derart verunsichert, dass sie sogar darüber nachdenken, den Beruf aufzugeben. Diejenigen, die durchhalten, befolgen die Ratschläge der Experten und ergreifen Maßnahmen, um sich zu schützen.
Die verstärkte Kontrolle durch die SEC begann im vergangenen Juli, als die Aufsichtsbehörde – in einem Schritt, den viele als „ “ und als „ “ empfanden – neue Vorschriften verabschiedete, wonach börsennotierte Unternehmen jährlich detailliert darlegen müssen, wie sie ihre Risiken steuern.
Die Vorschriften, die seit dem vergangenen Monat in Kraft sind, sehen vor, dass Unternehmen:
- Cybersicherheitsvorfälle sind innerhalb von vier Tagen nach Bekanntwerden offenzulegen, sofern sie „wesentlich“ sind, d. h. den Unternehmenswert beeinflussen könnten. Die Offenlegung würde über ein 8-K-Formular erfolgen.
- In ihren jährlichen 10-K-Berichten legen sie ihre Verfahren zur Bewältigung wesentlicher Cybersicherheitsrisiken offen.
- Geben Sie in diesen Unterlagen detailliert an, wie oft sich ihre Vorstände mit Risiken befassen oder diese minimieren sowie welche Kenntnisse und Erfahrungen sie hierfür mitbringen.
Die Verabschiedung dieser Vorschriften erfolgte unmittelbar nachdem die SEC im Oktober Anklage gegen SolarWinds und dessen CISO, Timothy Brown, erhoben hatte, weil sie angeblich Investoren hinsichtlich der Sicherheitslage des Unternehmens in die Irre geführt und es versäumt hatten, grundlegende Sicherheitsvorkehrungen zu treffen, was schließlich zu dem katastrophalen „Sunburst“-Cyberangriff führte, der zwischen 2018 und 2020 stattfand . Dieser Angriff betraf die Lieferketten von mehr als 30 000 öffentlichen und privaten Organisationen.
SolarWinds wies die Vorwürfe zurück und reichte am einen Antrag gemäß § ein, um die Klage am 26. Januar abzuweisen. Das Unternehmen behauptet, die SEC habe sich damit auf unsicheres Terrain begeben, und bezeichnet die Vorwürfe als „absurd“ und „ebenso unbegründet wie beispiellos“. In dem Antrag wurde das Vorgehen der SEC gegen Herrn Brown ferner als „unbegründet“ und „unerklärlich“ bezeichnet, wobei darauf hingewiesen wurde, dass es keine Beweise gebe, die „auch nur im Entferntesten darauf hindeuten“ würden, dass er versucht habe, Anleger zu täuschen. Die CISOs selbst haben unterschiedliche Ansichten zur Klage und zur Schuld ihres Kollegen in leitender Sicherheitsposition geäußert.
Mit diesen Anklagen hat die SEC zum ersten Mal einen bestimmten CISO ins Visier genommen oder diesen persönlich für Handlungen im Zusammenhang mit einem schwerwiegenden Datenschutzverstoß zur Verantwortung gezogen. (Der Sicherheitschef von Uber, Joe Sullivan, wurde zu drei Jahren Bewährung verurteilt, nachdem er wegen Behinderung einer Untersuchung der Federal Trade Commission im Zusammenhang mit einer Datenschutzpanne für schuldig befunden worden war, durch die die Daten von 57 Millionen Kunden und Fahrern im Jahr 2016 offengelegt wurden.)
Ironischerweise wurde die SEC, die gegen SolarWinds vorging, weil das Unternehmen angeblich nicht genug unternommen hatte, um seine Netzwerke zu sichern ( ), Anfang Januar selbst gehackt ( ), nachdem IT-Mitarbeiter Berichten zufolge die Schutzmaßnahmen der Zwei-Faktor-Authentifizierung () deaktiviert hatten ( ).
„Der Zeitpunkt war natürlich nicht ideal“, sagt Shaun Marion, ehemaliger CISO bei McDonald’s. „Das zeigt einmal mehr, dass solche Dinge jedem passieren können.“ „Die Verwaltung eines groß angelegten Sicherheitsprogramms ist komplex.“
CISOs stehen unter Druck
Marion sagt, viele seiner CISO-Kollegen „stimmen den Bemühungen der SEC um mehr Transparenz für die Aktionäre eigentlich zu“, lehnen jedoch deren Vorgehensweise entschieden ab, was sie dazu veranlasst, ihre Karriere im Bereich Cybersicherheit zu überdenken oder sogar aufzugeben – insbesondere diejenigen, die bei börsennotierten Unternehmen tätig sind. Und das zu einer Zeit, in der qualifizierte CISOs bereits schwer zu finden sind.
„Zu wissen, dass ich persönlich haftbar gemacht werden könnte, weil jemand anderes eine Entscheidung getroffen hat, ohne mich einzubeziehen … Mann, das ist nicht der Job, den ich mir ausgesucht habe.“Shaun Marion, ehemaliger CISO bei McDonald’s
Das Risiko, persönlich für einen Sicherheitsvorfall verantwortlich gemacht zu werden, sei besonders besorgniserregend, sagt er, da CISOs nicht die einzigen seien, die an der Umsetzung oder Kommunikation von Sicherheitsmaßnahmen beteiligt seien. Mitarbeiter in allen Bereichen eines Unternehmens treffen häufig Entscheidungen, die sich auf die Sicherheitslage auswirken, von denen die CISOs jedoch nie etwas sehen oder erfahren, sagt er.
Im Gegensatz zu den Führungskräften der obersten Ebene werden viele CISOs jedoch nicht wirklich als Führungskräfte angesehen, wie er anmerkt. Demnach verfügt etwa jeder dritte (34 %) CISO in den USA nicht über einen Versicherungsschutz im Rahmen einer D&O-Versicherung (Director and Officer), wie aus einer Umfrage von Heidrick & Struggles zum Thema „CISO- “ hervorgeht ().
„Das hat mich dazu veranlasst, meinen Beruf neu zu überdenken“, gibt Marion zu. „Ich bin in diesen Beruf gekommen, weil ich gerne an Dingen herumgebastelt habe. Ich fand es spannend zu sehen, wie weit ich die Grenzen der Sicherheit ausreizen konnte. Ich habe stets versucht, das Richtige zu tun. „Aber zu wissen, dass ich persönlich haftbar gemacht werden könnte, weil jemand anderes eine Entscheidung getroffen hat, ohne mich einzubeziehen … Mann, das ist nicht der Job, für den ich mich entschieden habe.“
Geben Sie nicht der SEC die Schuld – zumindest nicht ausschließlich
Wie sollten also CISOs, die beabsichtigen, in diesem Beruf zu verbleiben, auf die Beschwerde der SEC reagieren? Die Antworten liegen darin, zu verstehen, worum es eigentlich geht.
„CISOs werden ihre Cybersicherheitsrichtlinien und -praktiken nicht mehr vollständig verbergen können, um Hacker im Unklaren zu lassen.“
Experten zufolge sollten die Vorwürfe im Kern in einem breiteren Kontext betrachtet werden als nur als das Vorgehen einer staatlichen Stelle gegen ein einzelnes Unternehmen oder eine einzelne Person. Vielmehr, so argumentieren sie, sollten CISOs dies als den ersten einer möglicherweise langen Reihe ähnlicher Vorstöße von Aufsichtsbehörden betrachten, die mehr Transparenz im Bereich der Cybersicherheit fordern. Es sollte keine Rolle spielen, ob es sich um die SEC, die FCC, das DHS, die CFPB oder eine andere Behörde mit drei- oder vierbuchstabigem Namen handelt; künftig werden sie alle zu austauschbaren Bezeichnungen im Rahmen eines fortlaufenden Vorgehens der Regierung unter dem Motto „ “, heißt es.
„Es würde mich überraschen, wenn sich so etwas nicht wiederholen würde“, sagt Frank Dickson, Cybersicherheitsanalyst bei IDC. „Wenn nicht in den USA, wird es mit ziemlicher Sicherheit erneut in Europa geschehen.“
[Lesen Sie auch: Wie CISOs Burnout bekämpfen und ihre berufliche Laufbahn verlängern können]
Die wichtigste Erkenntnis, so sagt er, sollte sein, dass CISOs ihre Richtlinien und Vorgehensweisen im Bereich der Cybersicherheit nicht mehr vollständig verbergen können, um Hacker im Unklaren zu lassen. Es werden weiterhin mehr Offenlegungspflichten gelten, und die CISOs werden dies akzeptieren müssen.
Bemühen Sie sich um eine einheitliche Kommunikation
Ebenso sind Experten der Ansicht, dass CISOs nicht damit durchkommen werden, intern eine bestimmte Darstellung der Sicherheitslage ihres Unternehmens zu präsentieren, während sie nach außen hin andere Aussagen treffen. Ein zentraler Vorwurf in der Klage der SEC lautet, dass SolarWinds und Brown von konkreten Mängeln in den Cybersicherheitsmaßnahmen von SolarWinds sowie von den zunehmend steigenden Risiken, denen das Unternehmen ausgesetzt war, Kenntnis hatten – und dies in der internen Kommunikation auch eingeräumt haben. Extern jedoch, so behauptet die Behörde „ “ unter, hätten sie durch Falschangaben, Auslassungen und Machenschaften ein „falsches Bild“ vermittelt, um ihre „mangelhaften Cybersicherheitspraktiken“ und das erhöhte Risiko zu verschleiern.
Diese verstärkte Betonung der internen und externen Kommunikation könnte laut Dickson einen „abschreckenden Effekt“ auf die Kommunikation des CISO haben.
„Die Rolle des CISO hat sich in den letzten fünf Jahren grundlegend verändert“, sagt er. „CISOs sind nicht mehr nur Sicherheitsfachleute, sondern gelten als Sicherheitsarchitekten des Unternehmens, die sowohl Führungskräfte als auch Kunden aktiv beraten.“ „Sollten ihre Aussagen oder Veröffentlichungen nicht in allen Punkten den Tatsachen entsprechen, könnten sie auf Personen oder Behörden stoßen, die ihnen vorwerfen, irreführende Angaben zu machen – und das ist das Letzte, was die meisten CISOs wollen.“
[Lesen Sie auch: Wie CISOs über Cyberrisiken sprechen können, sodass CEOs tatsächlich zuhören]
Dickson empfiehlt den CISOs, weiterhin zu kommunizieren, weist jedoch darauf hin, dass sie besonders umsichtig und bedacht vorgehen sollten, wenn sie über ihre Prioritäten und Maßnahmen im Bereich der Cybersicherheit sprechen. Um potenzielle rechtliche Fallstricke zu vermeiden, fügt Dickson hinzu, dass CISOs relevante interne und externe Mitteilungen ebenfalls von ihren hauseigenen Rechtsberatern prüfen lassen sollten.
Machen Sie sich wie verrückt Notizen
Gleichzeitig empfehlen Sicherheitsexperten den CISOs – auch wenn die meisten Unternehmensjuristen davon abraten würden –, ausführliche Aufzeichnungen über alle wichtigen Gespräche mit Führungskräften zu führen, insbesondere über solche, in denen sie möglicherweise vor Cybersicherheitsproblemen gewarnt oder Maßnahmen zu deren Behebung empfohlen haben.
„Schreiben Sie mehr Dinge auf und stellen Sie sicher, dass Sie alles in einem Hauptbuch dokumentieren.“Andrew Jaquith, ehemaliger CISO bei Covington & Burling
„Notieren Sie mehr und stellen Sie sicher, dass alles in einem Hauptbuch dokumentiert ist“, rät Andrew Jaquith, ehemaliger CISO der Anwaltskanzlei Covington & Burling. „Sollte ein Vorfall im Bereich der Cybersicherheit jemals erneut thematisiert werden, möchten Sie nachweisen können, dass Sie alles in Ihrer Macht Stehende getan haben, um das zugrunde liegende Problem zu beheben, und dass Sie diesbezüglich einen Dialog mit der Geschäftsleitung geführt haben.“ „Sorgen Sie für eine lückenlose Dokumentation.“
Marion stimmt dem zu, plädiert jedoch für noch strengere Abwehrmaßnahmen.
„Ich stelle zu meinem eigenen Schutz sicher, dass ich alle meine Entscheidungen schriftlich dokumentiere – warum ich sie getroffen habe, wann ich auf Widerstand stieß und von wem –, denn ich muss mich selbst verteidigen“, sagt er. „Ich werde in Zusammenarbeit mit meinem Rechtsbeistand bewusst großzügig bei der Meldung von Cybersicherheitsvorfällen vorgehen, da ich nicht in die Lage geraten möchte, etwas nicht zu melden, das wir hätten melden müssen.“ Was die Risiken im Unternehmen betrifft, werde ich zudem deutlich entschlossener vorgehen, wenn es darum geht, diese der Führungsspitze zu vermitteln. Ich, , werde nicht länger die einzige Person sein, , die sich dieses Risikos bewusst ist und versucht, es zu bewältigen. „Ich werde dieses Risiko mit anderen teilen.“
Beantragen Sie eine D&O-Versicherung
Sicherheitsexperten sind zudem der Ansicht, dass es an der Zeit ist, dass sich CISOs zu Wort melden und die Maßnahmen der SEC gegen SolarWinds und Brown als Argument nutzen, um zu erreichen, dass ihre Unternehmen ihnen endlich eine D&O-Versicherung sowie eine Berufshaftpflichtversicherung (E&O) gewähren – auch wenn nur wenige von ihnen als echte Führungskräfte gelten. Dies sollte zumindest im Rahmen der Gehaltsverhandlungen erfolgen, bevor man eine Stelle als CISO antritt. Experten zufolge können CISOs solche Bedingungen jedoch auch nach ihrer Einstellung aushandeln.
Das dürfte nicht einfach sein, da ein solcher Versicherungsschutz kostspielig ist. Tatsächlich erklärt Kirsten Bay, Geschäftsführerin von Cysurance, einem auf Cyberversicherungen für kleine und mittelständische Unternehmen spezialisierten Anbieter, dass solche Policen für kleinere Unternehmen zwischen 35 000 und 60 000 US-Dollar pro Jahr kosten und für mittelständische sowie große Unternehmen sogar noch höher ausfallen. Für diesen Preis umfasst der Versicherungsschutz in der Regel eine Handvoll Beamte. Doch oft finden Unternehmen nach ein wenig Verhandlungsgeschick Wege, weitere Führungskräfte wie CISOs einzubeziehen, sagt sie.
Bay ist der Ansicht, dass angesichts der zunehmenden Bedeutung der persönlichen Haftung bei Sicherheitsvorfällen die Versicherer damit beginnen könnten, Pakete aus Cybersicherheits-, D&O- und E&O-Policen anzubieten und diese auf CISOs auszuweiten – ähnlich wie traditionelle Versicherungsgesellschaften Hausrat-, Lebens- und Kfz-Versicherungen bündeln.
„Es ist sinnvoll, diese miteinander zu verknüpfen, da nicht jedem bewusst ist, dass D&O- und E&O-Versicherungen in den Policen von zur Cyberversicherung nicht enthalten sind“, sagt sie.
Letztendlich äußern Experten wie Marion die Hoffnung, dass sich die Maßnahmen der SEC eher als Ausgangspunkt für die Verbesserung der branchenweiten Berichtsprozesse erweisen als als eine Maßnahme, bei der es um Schuldzuweisungen und Bestrafungen geht.
„Wenn wir uns mit einer Handvoll maßgeblicher politischer Entscheidungsträger, der SEC und einem Konsortium von CISOs an einen Tisch setzen könnten, könnten wir damit beginnen, einen Rahmen für die Berichterstattung über Risiken und Erwartungen an die CISOs selbst zu entwickeln“, sagt er. „Dadurch könnten wir Unklarheiten beseitigen und damit beginnen, Klarheit zu schaffen.“ „Das wäre für alle eine Win-Win-Situation.“
WEITERE INFORMATIONEN
Sehen Sie sich diese exklusiven Interviews mit CISOs und anderen Führungskräften aus dem Sicherheitsbereich in unserer Reihe „Erfolgsgeschichten“ an.
- CISO-Erfolgsgeschichte – Mit der Formel dieses Mannes lassen sich Cyberrisiken (genauer) vorhersagen
- CISO-Erfolgsgeschichte – Wie der Bezirk Los Angeles seine Mitarbeiter im Kampf gegen Phishing schult (und weiterbildet)
- CISO-Erfolgsgeschichte – Wie schafft man Vertrauen beim Vorstand? Sprechen Sie nicht (zu viel) über Cybersicherheit
- CIO-Erfolgsgeschichte – Ein Blick auf die Kehrseite des Risikos durch Drittanbieter
- CISO-Erfolgsgeschichte – Wie Zoom mit dem Cyber-Risiko-Scoring „Cybersecurity 2,0 “ umsetzte
